同集群节点容器内C#应用访问K8s报Forbidden问题咨询

InClusterConfig()方法的前置依赖条件 #

该方法无法零配置直接生效，必须同时满足以下前提：

• 应用必须运行在Kubernetes集群调度管理的Pod中，直接在节点上通过docker run启动的普通容器（未纳入K8s生命周期管理）不会被自动注入集群访问凭证，无法直接使用该方法
• K8s会自动为Pod挂载访问凭证到固定路径，方法启动时会自动读取以下文件：
  • 服务账号访问令牌：/var/run/secrets/kubernetes.io/serviceaccount/token
  • 集群CA根证书：/var/run/secrets/kubernetes.io/serviceaccount/ca.crt
  • Pod当前所属Namespace：/var/run/secrets/kubernetes.io/serviceaccount/namespace
• 方法会自动读取Pod内注入的环境变量KUBERNETES_SERVICE_HOST和KUBERNETES_SERVICE_PORT，获取Kubernetes APIServer的访问地址
• Pod绑定的ServiceAccount（服务账号）必须配置对应资源的RBAC访问授权，这也是触发403错误的核心原因：集群默认的default服务账号没有ConfigMaps、Secrets等资源的操作权限

403错误根因说明 #

抛出k8s.Autorest.HttpOperationException: Operation returned an invalid status code 'Forbidden'说明*InClusterConfig()已经成功加载到了有效的集群访问凭证*，否则会抛出文件不存在、APIServer连接失败类错误，问题本质是当前Pod绑定的服务账号没有操作目标资源的权限。
你通过令牌登录Dashboard Web UI使用的凭证，和Pod内服务账号的凭证是完全独立的两套权限体系，Dashboard的访问权限不会自动同步给Pod内运行的应用。

同集群访问的落地实现步骤 #

1. 先确认应用部署形态：
   • 如果应用是直接在节点上启动的普通Docker容器，不属于K8s Pod：要么将应用改造成Deployment/StatefulSet等K8s工作负载部署到集群内，要么手动将具有对应权限的kubeconfig文件挂载到容器内，改用KubernetesClientConfiguration.BuildConfigFromConfigFile()方法加载配置访问集群。
   • 如果应用已经以K8s Pod形式运行，按以下步骤配置RBAC权限即可：
2. 自定义专属服务账号（不建议使用命名空间下默认的default服务账号）：

apiVersion: v1
kind: ServiceAccount
metadata:
  name: app-service-account
  namespace: 替换为你的应用所在命名空间

3. 创建Role角色，按需授予ConfigMaps、Secrets的操作权限（生产环境建议按需缩小verbs权限范围，避免过度授权）：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: app-resource-role
  namespace: 替换为你的应用所在命名空间
rules:
- apiGroups: [""]
  resources: ["configmaps", "secrets"]
  verbs: ["get", "list", "watch", "create", "update", "patch", "delete"]

4. 创建RoleBinding，将服务账号和角色权限绑定：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: app-role-binding
  namespace: 替换为你的应用所在命名空间
subjects:
- kind: ServiceAccount
  name: app-service-account
  namespace: 替换为你的应用所在命名空间
roleRef:
  kind: Role
  name: app-resource-role
  apiGroup: rbac.authorization.k8s.io

5. 修改应用的工作负载配置（Deployment/StatefulSet/DaemonSet等），在spec层级指定使用刚创建的服务账号：

spec:
  serviceAccountName: app-service-account
  # 其余容器、卷配置保持原有逻辑不变

6. 重新发布应用Pod，原有var k8sConfig = KubernetesClientConfiguration.InClusterConfig();代码无需修改，即可正常加载凭证访问对应资源。

权限有效性快速验证 #

重新部署Pod后，可以进入Pod内部执行以下命令，提前验证权限是否配置正确，避免反复调整代码：

# 读取自动挂载的服务账号令牌
TOKEN=$(cat /var/run/secrets/kubernetes.io/serviceaccount/token)
# 拼接APIServer地址，对应环境变量中的KUBERNETES_SERVICE_HOST和KUBERNETES_SERVICE_PORT
APISERVER="https://${KUBERNETES_SERVICE_HOST}:${KUBERNETES_SERVICE_PORT}"
# 调用APIServer查询当前命名空间下的ConfigMap列表
curl -k -H "Authorization: Bearer $TOKEN" ${APISERVER}/api/v1/namespaces/$(cat /var/run/secrets/kubernetes.io/serviceaccount/namespace)/configmaps

如果命令返回ConfigMap资源列表而非403状态码，说明RBAC配置正确，C#客户端可正常工作。

内容的提问来源于stack exchange，提问作者dmachine7